Utgivning av Bubblewrap 0.5.0, ett lager för att skapa isolerade miljöer

Utgåvan av verktyget för att organisera arbete i isolerade miljöer Bubblewrap 0.5.0 är nu tillgänglig, som vanligtvis används för att begränsa individuella applikationer av icke-privilegierade användare. I praktiken används Bubblewrap av projektet Flatpak som ett lager för isolering av applikationer som körs från paket. Projektets kod är skriven i C och distribueras under LGPLv2+-licensen.

För isolering används traditionella Linux-teknologier för containervirtualisering, baserade på användning av cgroups, namnrymder (namespaces), Seccomp och SELinux. För att utföra privilegierade operationer för att konfigurera containern körs Bubblewrap med root-rättigheter (exekverbara filer med suid-flagga) och återställer privilegierna efter att containern har initierats.

Aktivering av användarnamnrymd (user namespaces) i systemet, vilket möjliggör användning av en separat uppsättning identiteter inom containrar, krävs inte för drift, eftersom den inte är aktiverad som standard i många distributioner (Bubblewrap positioneras som en begränsad suid-implementation av ett urval av funktionerna i användarnamnrymder — för att utesluta alla användar- och processidentiteter från miljön, förutom den aktuella, används lägena CLONE_NEWUSER och CLONE_NEWPID). För extra skydd körs program som körs under Bubblewrap i läget PR_SET_NO_NEW_PRIVS, som förhindrar förvärv av nya privilegier, till exempel när det finns en setuid-flagga.

Isoleringen på filsystemsnivå sker genom att skapa ett nytt namnrymd för montering (mount namespace) som standard, där ett tomt rotpartition skapas med tmpfs. I detta partition monteras externa filsystem vid behov i läget "mount —bind" (till exempel, vid körning med alternativet "bwrap —ro-bind /usr /usr" kopplas /usr från huvudsystemet i skrivskyddat läge). Nätverksmöjligheterna begränsas till åtkomst till loopback-gränssnittet med isolering av nätverksstacken via flaggorna CLONE_NEWNET och CLONE_NEWUTS.

Den avgörande skillnaden från det liknande projektet Firejail, som också använder en setuid-baserad körmodell, är att Bubblewrap:s lager för att skapa containrar endast inkluderar nödvändiga minimimöjligheter. Alla utökade funktioner som krävs för att köra grafiska applikationer, interagera med skrivbordet och filtrera anrop till Pulseaudio hanteras av Flatpak och utförs efter att privilegier har avlägsnats. Firejail å sin sida samlar alla tillhörande funktioner i en enda körbar fil, vilket försvårar granskningen och att bibehålla säkerhetsnivån.

Den nya versionen erbjuder alternativ som: „—chmod” för att ändra åtkomsträttigheter, „—clearenv” för att rensa miljövariabler (utom PWD) och „—perms” för att definiera åtkomsträttigheter som tillämpas vid utförande av operationerna „—bind-data”, „—dir”, „—file”, „—ro-bind-data” och „—tmpfs”. Diagnostik av problem som uppstår vid bind-monteringsfel har förbättrats. Stöd för autokomplettering av kommandon med tab-tangenten har lagts till för zsh.

Källa: opennet.ru